BotSharp 智能体框架硬编码 JWT 密钥，可伪造管理员令牌

BotSharp 5.2.0 及之前版本存在鉴权绕过漏洞，未认证的远程攻击者可利用 WebStarter appsettings.json 中硬编码的 Jwt:Key 伪造 bearer token，冒充包括管理员在内的任意已知用户，访问受 Authorize 保护的 API 路由。攻击者使用已提交的 HMAC 密钥以及固定的 botsharp issuer 和 audience 即可签名令牌。